Ein Soundness-Bug in Orchard, Zcashs neuestem Zero-Knowledge-Shielded-Pool, erlaubte es dem Beweissystem, eine Transaktion zu akzeptieren, die es hätte ablehnen müssen — genau jener Mechanismus, der theoretisch einem Fälscher erlaubt, beliebig viel ZEC außerhalb der Chain zu erzeugen. Sicherheitsforscher Taylor Hornby von Shielded Labs entdeckte die Schwachstelle am 29. Mai während einer gezielten Überprüfung, die er mit Anthropics Opus 4.8, einen Tag zuvor veröffentlicht, zusammen mit einem eigens angepassten KI-Harness durchführte. Zcash führte am 2. Juni um 02:00 UTC bei Block 3.363.426 einen Notfall-Soft-Fork durch, um Orchard-Aktionen zu deaktivieren, und schloss am 3. Juni um 00:05 EDT bei Block 3.364.600 den NU6.2-Hard-Fork ab, ersetzte den Circuit und stellte die volle Funktionalität in weniger als fünf Tagen nach der Entdeckung wieder her.
Warum das wichtig ist
Orchard ist kein Smart Contract und auch kein DeFi-Vault — es ist der kryptografische Kern von Zcashs privatem Transaktionssystem, und ein Soundness-Bug auf dieser Schicht ist ein Ausfall auf der Geld-Schicht, nicht auf der App-Schicht. Zcashs offizielle Position lautet, dass die Turnstile-Buchhaltung keine unautorisierte Wertschöpfung erkannt hat und die Obergrenze von 21 Millionen ZEC intakt bleibt. Shielded Labs vertritt eine härtere Linie: Orchards Datenschutzgarantien machen es kryptografisch schwierig, das Gegenteil zu beweisen, und das Unternehmen treibt ein Folge-Upgrade voran, das bestehende Orchard-Münzen zurück durch die Turnstile-Buchhaltung leiten würde, damit jeder die Integrität des Angebots on-chain verifizieren kann. Das Muster wiederholt sich — Octanes KI fand im Februar 2026 einen Bug im Nethermind-Execution-Client, der die lokale Blockproduktion von rund 38 % der Ethereum-Validatoren hätte stoppen können — und ein arXiv-Paper aus Januar berichtete von einer Erfolgsquote von 63 % bei KI-gestützter Exploit-Generierung gegen Smart-Contract-Benchmarks. KI-gestützte Forschung erreicht nun Consensus-Clients, ZK-Circuits und Angebotsregeln — eine Bedrohungsschicht, gegen die die meisten Base-Layer-Systeme nicht konzipiert wurden.
Häufig gestellte Fragen
-
Was war der Zcash-Orchard-Soundness-Bug?
Ein Fehler im Zero-Knowledge-Beweis-Circuit, der Orchard, Zcashs neuesten Shielded Pool, antreibt und es dem Beweissystem erlaubte, eine Transaktion zu akzeptieren, die es hätte ablehnen müssen — der Mechanismus, der im Mainnet unbegrenzt gefälschte ZEC unbemerkt hätte erzeugen können.
-
Wie hat der Forscher die Schwachstelle gefunden?
Taylor Hornby von Shielded Labs fand sie am 29. Mai während einer gezielten Überprüfung mit Anthropics Opus 4.8, einen Tag zuvor veröffentlicht, zusammen mit einem eigenen KI-Harness und Prompts, die in einer Regtest-Umgebung einen funktionierenden lokalen Exploit lieferten.
-
Wie hat Zcash auf den Bug reagiert?
Zcash führte am 2. Juni um 02:00 UTC bei Block 3.363.426 einen Notfall-Soft-Fork zur Deaktivierung von Orchard-Aktionen durch und schloss am 3. Juni um 00:05 EDT bei Block 3.364.600 den NU6.2-Hard-Fork ab, der den Circuit ersetzte und die volle Orchard-Funktionalität in unter fünf Tagen seit Entdeckung…
-
Wurde die Angebotsgrenze von 21 Millionen ZEC tatsächlich verletzt?
Zcash sagt nein — die Turnstile-Analyse fand keine Hinweise auf unautorisierte Wertschöpfung. Shielded Labs argumentiert, dass Orchards Datenschutz-Eigenschaften es kryptografisch schwer machen, das Gegenteil zu beweisen, und treibt ein Folge-Upgrade voran, das bestehende Orchard-Münzen zur On-Chain-Verifizierung…
-
Wie verbindet sich das mit dem breiteren KI-Exploit-Trend?
Octanes KI deckte im Februar 2026 einen Bug im Nethermind-Execution-Client auf, der die lokale Blockproduktion von rund 38 % der Ethereum-Validatoren hätte stoppen können, und ein arXiv-Paper vom Januar 2026 berichtete von 63 % Erfolgsquote bei KI-gestützter Exploit-Generierung auf Smart-Contract-Benchmarks.…
CoinDesk
TheBlock
CoinTelegraph
WuBlockchain